Die Veröffentlichung von Firejail 0.9.78, einem System zur isolierten AusfĂŒhrung von grafischen, Konsolen- und Serveranwendungen, wurde bekanntgegeben. Es minimiert das Risiko einer Kompromittierung des Hauptsystems beim AusfĂŒhren von nicht vertrauenswĂŒrdigen oder potenziell anfĂ€lligen Programmen. Das Programm ist in C geschrieben, wird unter der GPLv2-Lizenz vertrieben und kann in jeder Linux-Distribution mit einem Kernel Ă€lter als 3.0 verwendet werden. Fertige Pakete von Firejail sind im deb-Format (Debian, Ubuntu) und im rpm-Format (CentOS, Fedora) verfĂŒgbar.
Firejail verwendet zur Isolation die Linux-NamensrÀume (namespaces), AppArmor und syscall-Filterung (seccomp-bpf). Nach dem Start nutzt das Programm zusammen mit all seinen Unterprozessen separate Ansichten der Kernelressourcen, wie z. B. den Netzwerkstack, die Prozessliste und die Mount-Punkte. AbhÀngige Anwendungen können in einem gemeinsamen Sandbox zusammengefasst werden. Firejail kann auch zum Starten von Docker-, LXC- und OpenVZ-Containern verwendet werden.
Im Gegensatz zu containerbasierten Isolierungsmethoden ist Firejail extrem einfach zu konfigurieren und erfordert keine Vorbereitung eines Systemabbildes. Der Container wird on-the-fly aus dem Inhalt des aktuellen Dateisystems erstellt und nach Abschluss der Anwendung gelöscht. Flexible Mittel zur Festlegung von Zugriffsregeln fĂŒr das Dateisystem werden bereitgestellt, die es ermöglichen zu definieren, auf welche Dateien und Verzeichnisse der Zugriff erlaubt oder verboten ist, temporĂ€re Dateisysteme (tmpfs) fĂŒr Daten einzubinden, den Zugriff auf Dateien oder Verzeichnisse nur schreibgeschĂŒtzt zu gestalten und Verzeichnisse ĂŒber Bind-Mount und OverlayFS zu kombinieren.
FĂŒr eine Vielzahl beliebter Anwendungen, einschlieĂlich Firefox, Chromium, VLC und Transmission, sind fertige Profile zur Isolierung von Systemaufrufen verfĂŒgbar. Um die erforderlichen Berechtigungen fĂŒr die Einrichtung einer isolierten Umgebung zu erhalten, wird die ausfĂŒhrbare Firejail-Datei mit dem SUID-Root-Flag installiert (nach der Initialisierung werden die Berechtigungen zurĂŒckgesetzt). Um ein Programm im Isolationsmodus auszufĂŒhren, genĂŒgt es, den Namen der Anwendung als Argument des Firejail-Tools anzugeben, zum Beispiel âfirejail firefoxâ oder âsudo firejail /etc/init.d/nginx startâ.
In der neuen Version:
- In die Konfigurationsdatei firejail.config wurden die Optionen arg-max-count, arg-max-len, env-max-count und env-max-len hinzugefĂŒgt, um die Limits fĂŒr die Anzahl und die GröĂe von Befehlszeilenoptionen und Umgebungsvariablen zu Ă€ndern. StandardmĂ€Ăig ist die Anzahl der Argumente auf 128 und die Anzahl der Umgebungsvariablen auf 256 begrenzt, wĂ€hrend die GröĂe jedes Arguments den Wert PATH_MAX aus limits.h (in Linux 40196) + 32 hat.
- Die Option ââxephyr-extra-paramsâ wurde hinzugefĂŒgt, um zusĂ€tzliche Optionen fĂŒr Xephyr (das zur Erstellung von Sandbox-Umgebungen X11 mit einem eigenen X-Server in einem Fenster verwendet wird) in der Befehlszeile anzugeben, ohne firejail.config zu Ă€ndern.
- Das im Sandbox-Umfeld verwendete Dienstprogramm bwrap (bubblewrap) wurde durch die Schicht fbwrap ersetzt, die Programme ohne Isolierung ausfĂŒhrt, um Probleme beim Start von Firefox, Thunderbird, GIMP aufgrund des Aufrufs von glycin 2.0.0 aus gdk-pixbuf2 mit der Verwendung von bwrap zu lösen. Um bwrap anstelle der Schicht zu kopieren, wurde die Option ââallow-bwrapâ hinzugefĂŒgt.
- Die Tabellen der Systemaufrufe fĂŒr seccomp wurden aktualisiert. Neue Systemaufrufe wie epoll_pwait2 und futex_wait wurden hinzugefĂŒgt.
- Die Bauoption ââdisable-globalcfgâ wurde entfernt, die UnterstĂŒtzung fĂŒr overlayfs (ââoverlayâ) und den IDS-Modus (Intrusion Detection System, ââidsâ) eingestellt.
- Isolationsprofile fĂŒr den Texteditor ne (Texteditor), den Trivalent-Browser und die Spiele-Engines OpenRA, quakespasm, gzdoom, lzdoom, uzdoom hinzugefĂŒgt.
- Profile fĂŒr Thunderbird, Wine, Qutebrowser, Firefox, Godot, Wusc, Mullvad-Browser, Blink, Steam, SSH, Brave und Hashcat aktualisiert.
Quelle: opennet.ru
